■CCDS IoT機器セキュリティ要件̲2023年版（CCDS-GR01-2023）̲ANNEX1̲海外セキュリティガイドライン・標準への対応
分類ID

セキュリティ要件（サブセットのID、セキュリティ要件）

対応する要求項目

1）IoT機器の機能要件

NIST IR8425*1との対応対応する要求項目

CCDS要件では非対応とした内容

ETSI EN 303 645*2との対応#1「IoT製品のすべてのコンポーネントの#1 Asset Identification

5.1-3「認証メカニズムにベストプラクティスのインベントリを作成することができる」に 5.1

No universal default passwords

ついてはCCDS要件では非対応。
1-1 アクセス制御及び認証#2 Product Configuration

暗号を使用する」については、CCDS要件では非対応。

5.4

Securely store sensitive security parameters

5.5

Communicate securely

TCP/UDPポートの無効化

1-1-2

認証情報の変更

1-2 データ保護

1-2-1

1-(3)-(a)1-(3)-(b)#2 Product Configuration#4 Interface Access Control

5.9Make systems resilient to outages

5.6

Minimize exposed attack surfaces

5.1

No universal default passwords

5.4

Securely store sensitive security parameters

5.4#3 Data Protection

データ消去

Communicate securely

5.8

Ensure that personal data is secure

5.11

Make it easy for users to delete user data

1-(3)-(h)−ついては、CCDS要件では非対応。

by appropriate control mechanisms, including
but not limited to authentication, identity or

be designed, developed and produced to limit
attack surfaces, including external interfaces;−

personal or other, such as by encrypting
relevant data at rest or in transit by state of−
be designed, developed and produced to

1-(3)-(i)・5.3-5「初期化後、定期的にセキュリティアッ#5 Software Update

いthe art mechanisms;

ニズムを使用する」

1-3 ソフトウェア更新

初期値については要件を定めていな

reset the product to its original state;transmitted or otherwise processed data,
1-(3)-(c)−・5.3-4「ソフトウェアの更新は、自動的なメカ

Keep software updated

configuration, including the possibility toprotect the confidentiality of stored,
5.5-3「暗号プリミティブを更新可能とする」に下記については、CCDS要件では非対応。

5.3デフォルトパスワードやPSK以外のaccess management systems;

Securely store sensitive security parameters

5.5

CCDS要件では非対応とした内容

be delivered with a secure by default

ensure protection from unauthorised access#4 Interface Access Control

1-1-1

EUサイバーレジリエンス法案*3との対応対応する要求項目

CCDS要件では非対応とした内容

reduce the impact of an incident using
appropriate exploitation mitigation
mechanisms and techniques;

プデートが利用可能かどうかを確認する」
・5.3-15「ソフトウェアの更新ができない制約のある機器については、製品の分離とハードウェ＃5「（ソフトウェア）更新の自動適用」

アの交換が可能であること」

についてはCCDS要件では非対応。

・5-3-16「 IoT 機器のモデル名称は、機器上のラベルまたは物理的なインターフェースを介して、明確に認識できる」
5.4

Securely store sensitive security parameters

5.7

Ensure software integrity

5.5

Communicate securely

1-(3)-(k)ensure that vulnerabilities can be addressed

要件が漠然としており、完全な対応

through security updates, including, where

整理は困難（CCDSの要件では更新

applicable, through automatic updates andソフトウェアの改ざん防止のため、

the notification of available updates to users. 真正性の検証を要件としている）
5.7-1「セキュアブートメカニズムを使用してそ

1-4

特にインシデントが多く影響度がのソフトウェアを検証する必要がある」については、CCDS要件では非対応。

大きい要件
1-4-1

Wi-Fiの認証方式

1-(3)-(a)be delivered with a secure by default

デフォルトパスワードやPSK以外の

configuration, including the possibility to

初期値については要件を定めていな

reset the product to its original state;い

下記については、CCDS要件では非対応
・5.6-4「デバッグインタフェースが物理的にア
1-4-2

Bluetoothの対策#4 Interface Access Control#2「共有されるデータが、指定されたクセス可能な場合は、ソフトウェアで無効化す

フォーマットとコンテンツの定義に合致していることを検証する」についてはCCDS 5.6

Minimize exposed attack surfaces

要件では非対応。

る」
・5.6-8「コードは、サービス／デバイスの動作

ensure protection from unauthorised access
1-(3)-(b)に必要な機能に限定する」

USBのアクセス制御

but not limited to authentication, identity oraccess management systems;

・5.6-9「製造者は、機器に配備されるソフト1-4-3

by appropriate control mechanisms, including

ウェアについて、安全な開発プロセスに従うべきである
5.13-1「ユーザーインターフェースを介して入力されたデータ、アプリケーションプログラミン

1-4-4

インジェクション対策

5.13

Validate input data

グインターフェース（API）を介して転送されたデータ、またはサービスや機器内のネットワー
ク間で転送されたデータを検証する必要がある」については、CCDS要件では非対応。

Products with digital elements shall be
1-(2)delivered without any known exploitable
vulnerabilities;

CCDSの要件では、統計的に重大な影響が想定される脆弱性を対象としており、全ての既知の脆弱性への対応までは求めてない

分類ID

1

セキュリティ要件（サブセットのID、セキュリティ要件）

対応する要求項目

2

NIST IR8425* との対応対応する要求項目

CCDS要件では非対応とした内容

EUサイバーレジリエンス法案*3との対応

ETSI EN 303 645* との対応対応する要求項目CCDS要件では非対応とした内容

CCDS要件では非対応とした内容

in relation to the risks posed to the products
2-(2)
5.2

おける要件

provide for mechanisms to securely

vulnerabilities

distribute updates for products with digital2-(7)2-1 連絡窓口・セキュリティサポート体制

vulnerabilities without delay, including by
providing security updates;

Implement a means to manage reports of2）IoT機器の運用にwith digital elements, address and remediate

elements to ensure that exploitable
vulnerabilities are fixed or mitigated in a

#8 Information and Query Reception

timely manner;ensure that, where security patches or
updates are available to address identified
security issues, they are disseminated
5.3

Keep software updated

2-(8)without delay and free of charge,
accompanied by advisory messages providing
users with the relevant information, including
on potential action to be taken.
Products with digital elements shall be

1-(1)designed, developed and produced in such a「生産」工程に対するセキュリティ

way that they ensure an appropriate level ofは対象としていない

cybersecurity based on the risks;
2-2 製品に関する文書管理

identify and document vulnerabilities and#7 Documentation

components contained in the product,
2-(1)including by drawing up a software bill ofmaterials in a commonly used and machinereadable format covering at the very least the
top-level dependencies of the product;

5.2#9「外部機関（脆弱性追跡期間、認定者#9 Information Dissemination

once a security update has been madeImplement a means to manage reports ofavailable, publically disclose information

vulnerabilities

about fixed vulnerabilities, including a2-(4)と認証者等）への報告」については、
CCDS要件では非対応。

2-3 利用者への情報提供

5.3

description of the vulnerabilities, information
allowing users to identify the product withdigital elements affected, the impacts of theKeep software updated

vulnerabilities, their severity and information
helping users to remediate the vulnerabilities;

5.11#10 Product Education and Awareness

5-125.23）IoT機器の監査に

3-1 ログの記録#6 Cybersecurity State Awareness
5.7

関する要件
3-1-1

時間管理機能Make it easy for users to delete user data
Make installation and maintenance of devices

2-(5)

easy
Implement a means to manage reports ofvulnerabilities
Ensure software integrity

put in place and enforce a policy on
coordinated vulnerability disclosure;provide security related information by

1-(3)-(j)recording and/or monitoring relevant internal
activity, including the access to or
modification of data, services or functions;

ソフトウェア部品表について「機械で読み取り可能な形式」までは指定しない。

分類ID1

セキュリティ要件（サブセットのID、セキュリティ要件）

対応する要求項目

2

NIST IR8425* との対応対応する要求項目

CCDS要件では非対応とした内容

EUサイバーレジリエンス法案*3との対応

ETSI EN 303 645* との対応対応する要求項目

CCDS要件では非対応とした内容

下記については、CCDS要件では非対応

protect the integrity of stored, transmitted or

・5.9-1「データネットワークや電力が停止する

otherwise processed data, personal or other,可能性を考慮し、レジリエンスを組み込む必要
5.9

Make systems resilient to outagesがある」
・5.9-2「ネットワークアクセスが失われた場合

1-(3)-(d)corruptions;回復した場合に正常に回復する必要がある」
Provision6-1〜6-4の各項目について、CCDSではData protection provisions for consumer IoT非対応。
※但し、個人情報の保護については、2-3 データ

process only data, personal or other, that are
1-(3)-(e)CCDS要件では該当なし

ー

ー

ー

adequate, relevant and limited to what isnecessary in relation to the intended use of
the product (‘minimisation of data’);

保護にて実装例を掲載
ーagainst any manipulation or modification notauthorised by the user, as well as report onでも動作とローカル機能を維持し、電力損失が6commands, programs and configuration

protect the availability of essential functions,ー

1-(3)-(f)including the resilience against and mitigationof denial of service attacks;ーーminimise their own negative impact on theー

1-(3)-(g)availability of services provided by otherdevices or networks;

ーapply effective and regular tests and reviews
ー

2-(3)

of the security of the product with digitalelements;
take measures to facilitate the sharing of
information about potential vulnerabilities intheir product with digital elements as well as

ー

ー

2-(6)

in third party components contained in that
product, including by providing a contact
address for the reporting of the vulnerabilities
discovered in the product with digitalelements;

1* NIST IR 8425 "Profile of the IoT Core Baseline for Consumer IoT Products“2* ETSI EN 303 645 ”Cyber Security for Consumer Internet of Things: Baseline Requirements”
3* ”ANNEXES to the PROPOSAL FOR A REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUCIL"CCDS要件では非対応とした内容